A cada dia que passa, lemos sobre demissões que afetam indivíduos, alguns dos quais são nossos amigos e colegas. Em momentos como esse, conseguir uma entrevista pode ser desafiador e, portanto, torna-se necessário aceitar qualquer oportunidade que surja em seu caminho. E sejamos honestos, absolutamente ninguém gosta de entrevistas - elas são estressantes e demoradas.

Karthik (Gerente de Engenharia @ Meta) e eu, Jeet (Engenheiro de Segurança de Produto @ Plaid) trabalhamos na área de segurança em vários níveis e entrevistamos candidatos de estagiários, colaboradores individuais, gerentes e líderes seniores. Com esta postagem, pretendemos compartilhar o que aprendemos no passado e como navegamos no processo de entrevista. Embora os exemplos e recursos compartilhados na postagem sejam orientados à segurança (segurança do produto, para ser mais preciso), alguns dos aprendizados podem ser implementados durante a entrevista para qualquer função.

Cada organização e equipe pode ter diferentes rodadas e formatos de entrevista para avaliar o candidato. Geralmente, você terá uma tela técnica e/ou conversará com o gerente de contratação. Depois disso, você terá de 2 a 3 entrevistas técnicas e uma rodada de comportamento como o ciclo de entrevista. Neste post, vamos nos concentrar principalmente em

• Entrevista do gerente de contratação: como criar um discurso de elevador
• Entrevista técnica de segurança: como explicar uma vulnerabilidade de segurança?

Entrevista do gerente de contratação

A entrevista do gerente de contratação geralmente é uma conversa curta (30 minutos) em que o entrevistador tenta entender sua motivação e aspirações para a função e ter uma noção da amplitude de sua experiência e conhecimento. Eles não estão tentando fazer um mergulho profundo em tópicos técnicos (as rodadas técnicas são exatamente para isso).

Diz-me algo sobre ti

Vamos começar com uma introdução pessoal. Esta é a primeira pergunta em uma rodada de triagem do gerente de contratação ou do recrutador. Superficialmente, é uma pergunta muito básica, mas é sua oportunidade de criar uma impressão, falar sobre sua experiência passada e atual e destacar as principais conquistas em 2 a 3 minutos.

Não podemos deixar de enfatizar o quanto é importante ter um “elevator pitch” conciso pronto. Pode ser dividido em 5 etapas

• Comece com um breve resumo
• Volte às raízes
• Expanda o resumo inicial
• Adicione o toque final
• Concluir e abrir para feedback

Aqui está um exemplo de como responderíamos a essa pergunta usando as 5 etapas descritas acima

[Comece com um breve resumo] Sou engenheiro de segurança de produto na Acme.

[Volte às raízes] Antes da Acme, trabalhei na Hooli and Umbrella Corp em várias funções, desde pentester até automação de segurança, onde trabalhei na incorporação de ferramentas de segurança em pipelines de desenvolvimento, até uma função de arquiteto de segurança, onde lidero equipes cruzadas iniciativas e análises de segurança.

[Expandir o resumo inicial] Na Acme, minha função é liderar principalmente nossas iniciativas de mudança para a esquerda e gerenciamento de vulnerabilidades. Minha função também envolve trabalhar com a equipe de produto como um parceiro de segurança para melhorar e incorporar a segurança em nossos produtos, bem como interagir com os clientes para resolver quaisquer questões em aberto quando se trata de segurança.

[Adicione o toque final] Estou muito orgulhoso do meu trabalho na BeyondCorp, onde fiz uma parceria com nossa equipe de segurança corporativa para permitir o acesso à rede baseado em risco aos recursos gerenciados. Você pode imaginar o quão importante isso foi quando o Covid atingiu e de repente todos tiveram que WFH.

[Conclua e abra para comentários] Então, sim, um breve resumo sobre mim, mas estou feliz em mergulhar fundo e fornecer mais contexto sobre qualquer tópico durante a entrevista.

O exemplo dá amplos tópicos de sua escolha ao entrevistador para discutir mais na entrevista e relacioná-lo ao papel aberto em sua equipe.

A melhor maneira de aperfeiçoar seu pitch é primeiro anotá-lo, cronometrá-lo, ajustá-lo e, finalmente, praticá-lo com amigos ou familiares.

Entrevista técnica de segurança

Quando se trata de rodadas técnicas de segurança, existem diferentes sabores. Pode estar relacionado ao design do sistema e modelagem de ameaças, cenários de exploração de vulnerabilidade, revisão do código-fonte para encontrar bugs, automação/implementação de ferramentas e domínio de segurança específico (nuvem, Web, móvel). As entrevistas mais comuns e quase todas em que éramos um entrevistador ou entrevistado tinham uma rodada técnica específica do domínio de segurança. É aqui que um entrevistador pediria que você explicasse uma vulnerabilidade.

O que é vulnerabilidade CSRF?

A vulnerabilidade Cross-Site Request Forgery (CSRF) é notoriamente difícil de explicar a um entrevistador. Envolve várias etapas e estratégias de remediação que podem ter diferentes efeitos e consequências. A melhor abordagem para explicar qualquer vulnerabilidade é seguir o padrão simples O que e Como

• Qual é a vulnerabilidade
• Qual é o risco
• Como explorar e
• Como prevenir

[Qual é a vulnerabilidade] CSRF é uma vulnerabilidade em que um invasor mal-intencionado está tentando executar uma ação de mudança de estado em nome de um usuário autenticado . Uma ação de mudança de estado é como adicionar, editar, atualizar ou excluir ação.

[ Qual é o risco ] O CSRF é mais comumente conduzido usando técnicas maliciosas de engenharia social, enviando um e-mail ou link que engana a vítima para enviar uma solicitação forjada ao servidor. Um usuário mal-intencionado pode causar ações de alteração de estado que podem resultar em cenários de ataque comuns, como transferências de fundos ou alteração de informações pessoais ou senha de um usuário.

[Como explorar] Quando um usuário autenticado desavisado visita attacker.com e está logado em bank.com se o bank.com aceitar o tipo de conteúdo text/plain para seus pontos de extremidade POST, o invasor pode enviar uma solicitação de mudança de estado para o servidor que irá permitir que eles ajam em nome do usuário. Como o servidor bank.com obteve cookies de sessão válidos, ele não tem como diferenciar se a solicitação é de um invasor mal-intencionado ou de um usuário autenticado legítimo.

[Como prevenir] Para remediar a vulnerabilidade do CSRF, existem várias técnicas, mas usar o atributo de cookie do mesmo site junto com a verificação do cabeçalho de origem é a solução mais simples de curto prazo para mitigar a vulnerabilidade do CSRF em escala . Existem outros métodos populares e testados de mitigação que podemos aprofundar, como a abordagem baseada em token, envio duplo do cookie e cabeçalhos de solicitação personalizados para evitar ataques CSRF.

Memorizar e dar uma resposta de livro para qualquer vulnerabilidade do OWASP é simples. O que o diferenciará é explicar o problema e por que ele é explorável, fornecendo a melhor mitigação escalável possível que realmente pode ser implementada em uma configuração corporativa.

Claro que em qualquer entrevista, o exemplo seria seguido de perguntas. Como entrevistador, o que o exemplo demonstra é que o candidato não apenas entende a causa raiz da vulnerabilidade, mas também como ela deve ser mitigada em uma configuração corporativa. Também demonstra a capacidade do candidato de explicar o problema às partes interessadas relevantes, o que é uma habilidade muito importante para um engenheiro de segurança eficaz.

Recursos de entrevista

-- Resume 
[] Create a one page resume, include a good summary 
[] Free resume maker https://resumake.io/generator/templates 

-- Introduction 
[] Create an elevator pitch. Read this post

-- Coding
[] Leetcode top interview questions for company X 
[] Scripting questions like parsing log files, and extracting IP addresses
[] Learn regex https://www.hackerrank.com/domains/regex 

Security technical round 
[] Ultimate resource https://github.com/gracenolan/Notes/blob/master/interview-study-notes-for-security-engineering.md
[] OWASP top 10 https://cheatsheetseries.owasp.org/IndexTopTen.html 
[] Web security, HTML 5 Security https://developer.mozilla.org/en-US/docs/Web/Security 
[] Threat Modeling - STRIDE, PASTA
[] Security awareness, whats current -> https://tldrsec.com/
[] Cloud security -> https://cloudsecdocs.com/
[] How to secure VPN and attacks against it
[] How to identify crypto miners and ransomware running on a user’s machine
[] Topics - SSH, IPSec, TLS vs SSH, OSI, Heartbleed, Log4j, HMAC, Serialization vulnerability,
XXE, Rainbow table attack, OAuth/OpenID, SAML, WebauthN, 

-- Behavioral round 
[] https://www.thebalancecareers.com/top-behavioral-interview-questions-2059618
[] Write 8-10 stories in SAR format (Situation, Action, Result) and practice them with a friend 
[] Example of any conflict with peers, managers
[] Biggest mistake. What is your weakness? What are you doing about it? 
[] (Manager) How did you deal with poor performers and a strong performer 
[] (Manager) How do you measure the health of the organization 

-- System desgin 
[] System design mock interviews https://www.youtube.com/c/ExponentTV,
https://www.youtube.com/channel/UCRPMAqdtSgd0Ipeef7iFsKw 
[] Design a large-scale malware identification system
[] Design a password storage system